NAS 别再裸奔公网了：三处检查今晚就能做完
这次群晖勒索事件里，中招的机器有个共同点：管理页面直接暴露在公网上。NAS 本身是用来存公司文件的，不是给全世界访问的。把暴露面收回来，不需要什么高深技术，三处检查今晚就能做完。
第一处：路由器里有没有对着 NAS 的端口映射？
登录路由器管理页，找「端口转发」或者「虚拟服务器」这一栏，看到 5000、5001 这两个端口被转发到 NAS 的，直接删掉——这两个就是群晖管理页面的对外入口。当年为了在外面访问方便映射的，现在有更安全的办法，不需要把大门一直敞着。列表里凡是看不出用途、又指向存储设备的条目，都值得多看一眼。
第二处：外部访问入口是不是一直开着？
进 NAS 控制面板搜「外部访问」，如果配了 DDNS 或者启用了 QuickConnect，说明这台机器能从公网直达。公司只在内部用的话，这些入口都可以关掉；确实有外网访问需求的，改走加密隧道或者官方的中转服务，别用裸映射直连。入口的存在本身不是错，错的是没人记得它为什么开着。
第三处：转发规则里有没有来路不明的条目？
端口转发列表里看不懂的条目、早就不用了的旧规则，一并清掉。转发规则越多，暴露面越大，很多是几年前图省事留下的，早就忘了。顺手把规则逐条标注用途，以后每季度扫一眼，新增的规则是谁加的、为什么加，都能对上人。
检查做完，怎么确认暴露面真的收回来了？
做完这三处，从外面试着访问一下自己的 NAS——用手机关掉无线、走流量访问，访问不到就对了。顺带把两步验证也开了，就算密码泄露，还有第二道闸。以后每次改网络配置，都照这三处快速复扫一遍，暴露面就不会在不知不觉中重新变大。
改完心里还是不踏实的，贵州本地的贵州诚鑫致达科技可以帮你从路由器到 NAS 整条链路过一遍，确认没有遗漏的入口。
